脆弱性情報（JVN）検索・一覧

Fortinet FortiDDoS-F 7.2.1 から 7.2.2 にかけての SQL コマンドで使用される特殊な要素が不適切に無効化される（SQL インジェクション）の脆弱性により、攻撃者が細工された HTTP リクエストを送信すると、認可されていないコードやコマンドを実行できる可能性があります。

DataEaseはオープンソースのデータ可視化および分析プラットフォームです。バージョン2.10.20およびそれ以前には、/de2api/datasetData/previewSqlエンドポイントにSQLインジェクションの脆弱性があります。ユーザーが提供したSQLは、入力が単一のSELECT文であることを検証せずにサブクエリにラップされます。allowMultiQueries=trueを有効にできるJDBCブロックリスト回避と組み合わさることで、攻撃者はサブクエリから抜け出し、UPDATEなどの書き込み操作を含む任意の複数のSQL文を接続されたデータベースに対して実行できます。有効なデータソース認証情報にアクセスできる認証済み攻撃者は、基盤となるデータベースに対して完全な読み取りおよび書き込みアクセスを取得できます。この問題はバージョン2.10.21で修正されました。

News Website Script 2.0.5には、認証されていない攻撃者がニュースIDパラメータを介してSQLコードを注入し、データベースクエリを操作できるSQLインジェクションの脆弱性があります。攻撃者は悪意のあるSQL文を含むGETリクエストをindex.php/show/news/に送信して、機密データベース情報を抽出できます。

eDirectoryには複数のSQLインジェクションの脆弱性が存在し、認証されていない攻撃者がSQLコードをパラメータに注入することで管理者認証を回避し、機密ファイルを漏洩させる可能性があります。攻撃者はloginエンドポイントのkeyパラメータを利用したユニオンベースのSQLインジェクションを悪用して管理者として認証を行い、その後language_file.phpの認証済みファイル漏洩の脆弱性を利用してサーバー上の任意のPHPファイルを読み取ることができます。

Hydrosystem Control Systemには、ほとんどのスクリプトおよび入力パラメータにわたってSQLインジェクションの脆弱性があります。保護が施されていないため、認証された攻撃者は任意のSQLコマンドを注入でき、データベースを完全に制御する可能性があります。この問題はHydrosystem Control Systemバージョン9.8.5で修正されました。

qdPM 9.1にはSQLインジェクションの脆弱性が存在し、認証されていない攻撃者がfilter_byパラメータを通じてSQLコードを注入し、データベース情報を抽出できます。攻撃者は細工されたfilter_by[CommentCreatedFrom]およびfilter_by[CommentCreatedTo]パラメータを用いてtimeReportエンドポイントに悪意のあるPOSTリクエストを送信し、任意のSQLクエリを実行して機密データを取得することが可能です。

SuiteCRM 7.10.7には、認証された攻撃者がparentTabパラメータを通じてSQLコードを注入し、データベースクエリを操作できるSQLインジェクションの脆弱性があります。攻撃者はブールベースのSQLインジェクション技術を用いて、悪意のあるparentTab値を含むGETリクエストをemailモジュールに送信し、機密なデータベース情報を抽出可能です。

SuiteCRM 7.10.7のUsersモジュールのDetailViewアクションにおけるrecordパラメータには時間ベースのSQLインジェクション脆弱性が存在し、認証された攻撃者がデータベースクエリを操作できます。攻撃者はindex.phpエンドポイントへのGETリクエストのrecordパラメータにSQLコードを付加することで、時間ベースのブラインドSQLインジェクション技術を通じて機密なデータベース情報を抽出できます。

C4G Basic Laboratory Information System 3.4には複数のSQLインジェクションの脆弱性が存在し、認証されていない攻撃者がsiteパラメータを通じて悪意のあるコードを注入することで任意のSQLコマンドを実行できます。攻撃者はusers_select.phpエンドポイントに対して細工されたSQLペイロードを含むGETリクエストを送信し、患者記録やシステム認証情報を含む機密なデータベース情報を抽出できます。

Fortinet FortiAnalyzer 7.6.0から7.6.4、FortiAnalyzer 7.4.0から7.4.8、FortiAnalyzer 7.2の全バージョン、FortiAnalyzer 7.0の全バージョン、FortiAnalyzer Cloud 7.6.0から7.6.4、FortiAnalyzer Cloud 7.4.0から7.4.8、FortiAnalyzer Cloud 7.2の全バージョン、FortiAnalyzer Cloud 7.0の全バージョン、FortiManager 7.6.0から7.6.4、FortiManager 7.4.0から7.4.8、FortiManager 7.2の全バージョン、FortiManager 7.0の全バージョン、FortiManager Cloud 7.6.0から7.6.4、FortiManager Cloud 7.4.0から7.4.8、FortiManager Cloud 7.2の全バージョン、FortiManager Cloud 7.0の全バージョンにおいて、SQLコマンドで使用される特殊な要素が適切に無害化されていない（SQLインジェクション）の脆弱性が存在します。これにより、権限を持つ認証済みの攻撃者がJSON RPC APIを通じて不正なコードやコマンドを実行できる可能性があります。

Newsbull Haber Script 1.0.0には、認証された攻撃者が時間ベース、ブラインド、ブールベースのインジェクション技術を用いてデータベース情報を抽出できる複数のSQLインジェクション脆弱性が検索パラメータに存在します。攻撃者は、/admin/comment/records、/admin/category/records、/admin/news/records、および/admin/menu/childsのようなエンドポイントの検索パラメータを介して悪意のあるSQLコードを注入し、データベースクエリを操作して機密データを取得できます。

認証されていないリモート攻撃者は、SQL SELECTコマンド内の特殊要素を適切に無害化しないことで、getinfoエンドポイントにおける認証されていないSQLインジェクションの脆弱性を悪用する可能性があります。これにより、機密情報の完全な喪失が発生する可能性があります。

認証されていないリモート攻撃者が、SQL SELECTコマンド内の特殊要素の不適切な無害化により発生するmb24apiエンドポイントの認証されていないブラインドSQLインジェクション脆弱性を悪用する可能性があります。この脆弱性を利用することで、機密情報の完全な漏洩が生じる可能性があります。

Spring AIのspring-ai-neo4j-storeには、Neo4jVectorFilterExpressionConverterにCypherインジェクションの脆弱性があります。ユーザーが制御する文字列がspring-ai-neo4j-storeのNeo4jVectorFilterExpressionConverter内のフィルター式のキーとして渡されると、doKey()はキーから二重引用符のみを除去した後、そのキーをバッククォートで囲まれたCypherのプロパティアクセッサー（node.`metadata.`）に埋め込みますが、埋め込みバッククォートをエスケープしません。この問題は、Spring AIのバージョン1.0.0から1.0.5未満、および1.1.0から1.1.4未満に影響を及ぼします。

Ory Kratosはクラウドサービス向けのアイデンティティ、ユーザー管理および認証システムです。バージョン26.2.0より前のOry Kratosでは、ListCourierMessages管理者APIのページネーションの実装に欠陥があり、SQLインジェクションの脆弱性が存在していました。ページネーショントークンは`secrets.pagination`に設定されたシークレットを使用して暗号化されています。このシークレットを知っている攻撃者は、自らトークンを生成でき、SQLインジェクションを引き起こす悪意のあるトークンも含めることができます。もしこの設定値が設定されていない場合、Kratosはデフォルトのページネーション暗号化シークレットにフォールバックします。このデフォルト値は公開されているため、攻撃者はこのシークレットが設定されていない環境に対して有効かつ悪意のあるページネーショントークンを手動で生成可能です。第一の防御策として、暗号学的に安全なランダムなシークレットを生成し、`secrets.pagination`にカスタム値を直ちに設定してください。次に、Kratosを固定バージョンである26.2.0以降にできるだけ早くアップグレードしてください。

Ory Ketoは大規模な権限管理のためのオープンソース認可サーバーです。バージョン26.2.0より前のOry Ketoには、GetRelationships APIのページネーション実装に欠陥があり、SQLインジェクションの脆弱性が存在します。ページネーショントークンは`secrets.pagination`で設定された秘密鍵を使用して暗号化されます。この秘密鍵を知っている攻撃者は、SQLインジェクションを引き起こす悪意のあるトークンを含む独自のトークンを作成できます。この設定値が設定されていない場合、Ketoは組み込みのデフォルトのページネーション暗号化秘密鍵にフォールバックします。このデフォルト値は公開されているため、攻撃者は設定されていない環境で有効かつ悪意のあるページネーショントークンを手動で生成できます。この問題は、GetRelationships APIに攻撃者が直接または間接的にアクセスでき、攻撃者が生のページネーショントークンを問題のAPIに渡し、`secrets.pagination`の設定値が設定されていないか攻撃者に知られている場合に悪用されます。攻撃者は偽造されたページネーショントークンを通じて任意のSQLクエリを実行できます。第一の防御策として、暗号学的に安全なランダムな秘密鍵を生成し、すぐに`secrets.pagination`のカスタム値を設定してください。次に、できるだけ早くKetoを修正版の26.2.0以降にアップグレードしてください。

ResourceSpace 8.6にはSQLインジェクションの脆弱性が存在します。認証済みの攻撃者はcollection_edit.phpのkeywordsパラメータを介して悪意のあるコードを注入し、任意のSQLクエリを実行できます。攻撃者はkeywordsフィールドに細工されたSQLペイロードを含むPOSTリクエストを送信することで、スキーマ名、ユーザー認証情報、その他の機密データを含むデータベースの機密情報を抽出できます。

ImpressCMS 1.3.11には、認証された攻撃者が'bid'パラメータを通じてSQLコードを注入し、データベースクエリを操作できる時間ベースのブラインドSQLインジェクションの脆弱性があります。攻撃者は、SQLコマンドを含む悪意のある'bid'値を持つPOSTリクエストをadmin.phpのエンドポイントに送信して、機密なデータベース情報を抽出することが可能です。

eBrigade ERP 4.5には、認証された攻撃者が'id'パラメータを介して悪意のあるコードを挿入し、任意のSQLクエリを実行できるSQLインジェクションの脆弱性が存在します。攻撃者は、'id'パラメータに細工したSQLペイロードを含むGETリクエストをpdf.phpに送信することで、テーブル名やスキーマの詳細などの機密データベース情報を抽出可能です。

MyT-PM 1.5.1にはSQLインジェクションの脆弱性が存在し、認証された攻撃者がCharge[group_total]パラメータを通じて悪意のあるコードを注入し、任意のSQLクエリを実行できます。攻撃者はエラーに基づく手法、時間差盲検査型、またはスタッククエリペイロードを用いて、/charge/adminエンドポイントに巧妙に作成されたPOSTリクエストを送信し、機密なデータベース情報を抽出したり、データを操作したりすることが可能です。

LORIS（Longitudinal Online Research and Imaging System）は、神経画像研究のためのデータおよびプロジェクト管理を提供するセルフホスト型のウェブアプリケーションです。バージョン27.0.3および28.0.1より前のバージョンにおいて、イメージングブラウザのMRIフィードバックポップアップウィンドウの一部コードにSQLインジェクションの脆弱性が確認されました。攻撃者はSQLインジェクションを利用してサーバー上のデータにアクセスしたり変更を加えたりする可能性があります。この脆弱性は27.0.3および28.0.1で修正されています。

Drizzleは最新のTypeScript ORMです。バージョン0.45.2および1.0.0-beta.20以前のDrizzle ORMでは、方言固有のescapeName()実装が引用されたSQL識別子を不適切にエスケープしていました。影響を受けるバージョンでは、埋め込まれた識別子区切り文字が識別子が引用符やバックティックで囲まれる前にエスケープされていませんでした。その結果、sql.identifier()や.as()のようなSQL識別子またはエイリアスを構築するAPIに攻撃者が制御する入力を渡すアプリケーションでは、攻撃者が引用された識別子を終了させてSQLインジェクションを行う可能性があります。この脆弱性はバージョン0.45.2および1.0.0-beta.20で修正されています。

ChurchCRMはオープンソースの教会管理システムです。バージョン7.1.0より前のバージョンには、`/GroupPropsFormRowOps.php`、`/PersonCustomFieldsRowOps.php`、および`/FamilyCustomFieldsRowOps.php`エンドポイントにSQLインジェクションの脆弱性が存在していました。ユーザーは認証されている必要があります。`ManageGroups`権限が有効である必要があり、他の2つのエンドポイントでは管理者ユーザーによって攻撃が実行されなければなりません。これらのユーザーは`Field`パラメータを通じて任意のSQL文を注入でき、データベースのテーブルを変更することが可能です。この脆弱性はバージョン7.1.0で修正されています。

ChurchCRMはオープンソースの教会管理システムです。バージョン7.1.0以前のアプリケーションには、不適切な入力検証により時間を利用したSQLインジェクションの脆弱性が存在していました。エンドポイントReports/ConfirmReportEmail.php?familyId=はユーザー入力を正しくサニタイズしておらず、特にサニタイズされていない入力がSQLクエリの作成に使用されていました。この脆弱性はバージョン7.1.0で修正されています。

SimplePress CMS 1.0.7にはSQLインジェクションの脆弱性が存在し、認証されていない攻撃者が'p'および's'パラメータを介して悪意のあるコードを注入し、任意のSQLクエリを実行できます。攻撃者は巧妙に作成されたSQLペイロードを含むGETリクエストを送信し、ユーザー名、データベース名、バージョン情報などの機密なデータベース情報を抽出できます。

Kepler Wallpaper Script 1.1にはSQLインジェクションの脆弱性があり、未認証の攻撃者がcategoryパラメータに悪意のあるコードを注入して任意のSQLクエリを実行できます。攻撃者はURLエンコードされたSQL UNION文を含むGETリクエストをcategoryエンドポイントに送信し、ユーザー名、データベース名、MySQLのバージョン情報などのデータベース情報を抽出できます。

Zeeways Matrimony CMSには複数のSQLインジェクション脆弱性が存在し、認証されていない攻撃者がprofile_listエンドポイントを通じてデータベースクエリを操作できます。攻撃者はup_cast、s_mother、およびs_religionパラメータを介してSQLコードを注入し、時間差攻撃やエラーベースの手法を用いて機密性の高いデータベース情報を抽出可能です。

Zeeways Jobsite CMSにはSQLインジェクションの脆弱性が存在し、認証されていない攻撃者が'id'のGETパラメータを通じてSQLコードを注入し、データベースクエリを操作できます。攻撃者はnews_details.php、jobs_details.php、またはjob_cmp_details.phpに対して、GROUP BYやCASE文を用いた悪意のある'id'値を含む細工されたリクエストを送信し、機密なデータベース情報を抽出できます。

Hi.Eventsはオープンソースのイベント管理およびチケット販売プラットフォームです。バージョン0.8.0-beta.1から1.7.1-betaの前のバージョンまで、複数のリポジトリクラスがユーザーから提供されたsort_byクエリパラメータを検証せずに直接EloquentのorderBy()に渡しており、その結果SQLインジェクションが可能になっていました。このアプリケーションはPostgreSQLを使用し、スタッククエリをサポートしています。この問題はバージョン1.7.1-betaで修正されました。

ResourceSpace 8.6にはSQLインジェクションの脆弱性があり、認証されていない攻撃者が'ref'パラメータを介して悪意のあるコードを注入することで任意のSQLクエリを実行できます。攻撃者は、細工されたSQLペイロードを含むGETリクエストをwatched_searches.phpエンドポイントに送信することで、ユーザー名や認証情報を含む機密なデータベース情報を抽出できます。

OpenSTAManagerは技術支援および請求管理のためのオープンソースの管理ソフトウェアです。バージョン2.10.2以前のOpenSTAManagerの異なるモジュールに存在するconfronta_righe.phpファイルにはSQLインジェクションの脆弱性があります。$_GET['righe']から受け取るrigheパラメータは、サニタイズやパラメータ化、検証がされずに直接SQLクエリに連結されます。認証された攻撃者は任意のSQL文を注入でき、データベースからユーザー認証情報、顧客情報、請求データおよびその他の保存されたデータを抽出することが可能です。この脆弱性はバージョン2.10.2で修正されました。

Frappe HelpDeskのダッシュボードのget_dashboard_data関数におけるSQLインジェクションの脆弱性です。これは、ユーザーが制御するパラメータが動的なSQL文に安全でない形で連結されていることが原因です。この問題はFrappe HelpDeskバージョン1.14.0に影響を与えます。

Payloadは無料でオープンソースのヘッドレスコンテンツ管理システムです。バージョン3.79.1より前の一部のリクエスト入力が適切に検証されていませんでした。攻撃者はSQLクエリの実行に影響を与えるリクエストを作成でき、コレクション内のデータを露出または変更する可能性がありました。この問題はバージョン3.79.1で修正されました。

qdPM 9.1にはSQLインジェクションの脆弱性が存在し、攻撃者はsearch_by_extrafields[]パラメータを通じてSQLコードを注入し、データベースクエリを操作できます。攻撃者は悪意のあるsearch_by_extrafields[]の値を使用してusersエンドポイントにPOSTリクエストを送信し、SQL構文エラーを引き起こすことでデータベース情報を抽出できます。

PilusCart 1.4.1には、認証されていない攻撃者が'send'パラメータを通じてSQLコードを注入し、データベースクエリを操作できるSQLインジェクションの脆弱性があります。攻撃者はコメント送信エンドポイントに対してPOSTリクエストを送信し、RLIKEベースのブール型SQLインジェクションペイロードを使用して機密データベース情報を抽出できます。

OpenDocMan 1.3.4には、認証されていない攻撃者が「where」パラメータを通じてSQLコードを注入し、データベースクエリを操作できるSQLインジェクションの脆弱性があります。攻撃者は検索用のsearch.phpに対して、「where」パラメータに悪意のあるSQLペイロードを含むGETリクエストを送信することで、機密データベース情報を抽出できます。

不適切に構築されたORDER句が記事のWebサービスエンドポイントにSQLインジェクションの脆弱性を引き起こします。

Piwigoはウェブ用のオープンソースフォトギャラリーアプリケーションです。バージョン16.3.0以前のpwg.users.getList WebサービスAPIメソッドには、SQLインジェクションの脆弱性が存在していました。filterパラメータが適切にサニタイズされることなくSQLクエリに直接連結されるため、認証済みの管理者が任意のSQLコマンドを実行できる状態となっていました。この問題はバージョン16.3.0で修正されました。

Piwigoはウェブ用のオープンソース写真ギャラリーアプリケーションです。バージョン16.3.0より前のバージョンにおいて、Activity List APIエンドポイントにSQLインジェクションの脆弱性が発見されました。この脆弱性により、認証された管理者がユーザーの資格情報、メールアドレス、およびすべての保存コンテンツを含む機密データをデータベースから抽出できます。この問題はバージョン16.3.0で修正されました。

WeGIAは慈善団体向けのウェブ管理ツールです。バージョン3.6.9より前のWeGIA（Web gerenciador para instituicoes assistenciais）には、dao/memorando/DespachoDAO.phpにSQLインジェクションの脆弱性が存在します。id_memorandoパラメータは検証されることなく$_REQUESTから取得され、SQLクエリに直接埋め込まれるため、認証済みの任意のユーザーがデータベースに対して任意のSQLコマンドを実行できる可能性があります。この脆弱性はバージョン3.6.9で修正されました。